Wdrażanie nowoczesnych technologii do struktur administracji państwowej i samorządowej przynosi wymierne korzyści, jednak wiąże się z koniecznością przestrzegania określonych norm prawnych. Europejskie rozporządzenie w sprawie sztucznej inteligencji (AI Act) wprowadziło szczegółowe ramy prawne, które mają na celu ochronę jednostki przed negatywnymi skutkami zautomatyzowanego podejmowania decyzji. Podstawowym celem tych regulacji jest zagwarantowanie, że administracja działa w sposób przejrzysty, bezpieczny i w pełni z poszanowaniem praw podstawowych. Zrozumienie, jakie są obowiązki podmiotów publicznych stosujących systemy sztucznej inteligencji wysokiego ryzyka, stanowi fundament dla każdej instytucji planującej cyfryzację swoich usług.
Spis treści
Kiedy wykorzystywana w urzędzie technologia jest systemem wysokiego ryzyka?
Na gruncie rozporządzenia w sprawie sztucznej inteligencji, instytucja publiczna nabywająca i wdrażająca gotowe oprogramowanie do swoich celów zyskuje status podmiotu stosującego ten system. Oprogramowanie zostaje zakwalifikowane jako system wysokiego ryzyka, jeżeli jego działanie może znacząco wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe osób fizycznych. W kontekście administracji publicznej dotyczy to przede wszystkim narzędzi wykorzystywanych do oceny uprawnień obywateli do świadczeń socjalnych, usług publicznych oraz w obszarze wymiaru sprawiedliwości. Ustawodawca europejski wyszczególnił te krytyczne obszary w załączniku trzecim do omawianego aktu prawnego, uznając, że błędy maszyny w tych sektorach niosą najpoważniejsze konsekwencje dla jednostki. Prawidłowa identyfikacja wykorzystywanego narzędzia stanowi pierwszy i najważniejszy krok, który determinuje konieczność wdrożenia szczególnych procedur ochronnych i nadzorczych.
Obowiązkowa ocena skutków dla praw podstawowych jednostki
Artykuł 27 rozporządzenia wprowadza jeden z najważniejszych obowiązków dla sektora publicznego, jakim jest przeprowadzenie oceny skutków dla praw podstawowych. Zanim jakikolwiek system wysokiego ryzyka zostanie wdrożony, podmiot publiczny musi przeanalizować i opisać potencjalne zagrożenia. Prawidłowo przeprowadzona analiza przed wdrożeniem musi obejmować następujące elementy:
- Określenie celów, do których narzędzie ma być wykorzystywane, oraz dokładny opis procesów decyzyjnych wspieranych maszynowo.
- Zidentyfikowanie konkretnych grup osób, których prawa, zdrowie lub bezpieczeństwo mogą zostać naruszone w wyniku działania algorytmu.
- Ustalenie środków zaradczych i organizacyjnych, które organizacja wdroży w przypadku zmaterializowania się przewidzianego wcześniej ryzyka w środowisku produkcyjnym.
Wyniki tej analizy muszą zostać formalnie zgłoszone odpowiednim organom nadzoru rynkowego, co gwarantuje państwową kontrolę nad planowanymi wdrożeniami technologicznymi. Pominięcie tego etapu stanowi rażące naruszenie unijnych przepisów i uniemożliwia legalne korzystanie z algorytmów w codziennej pracy urzędu.
Zagwarantowanie skutecznego nadzoru ludzkiego nad procesem decyzyjnym
Kluczowym elementem unijnej architektury bezpieczeństwa jest wymóg zapewnienia adekwatnego nadzoru ludzkiego nad działaniem algorytmów. Artykuł 26 rozporządzenia nakłada na podmioty publiczne stosujące omawianą technologię obowiązek zorganizowania pracy w taki sposób, aby decyzje o istotnym znaczeniu nie były podejmowane wyłącznie przez algorytm. Osoby odpowiedzialne za obsługę takich programów w urzędzie muszą posiadać odpowiednie kompetencje, szkolenia oraz uprawnienia do interweniowania w proces zautomatyzowany. Pracownik administracji publicznej musi mieć zagwarantowaną możliwość zignorowania, zmiany lub odrzucenia wyniku, jeśli uzna go za błędny lub w jakikolwiek sposób niesprawiedliwy. Władze instytucji są zobowiązane do stworzenia wewnętrznych regulaminów, które jasno określają, w jakich sytuacjach manualna weryfikacja automatycznych rekomendacji jest wymagana. Takie podejście bezpośrednio chroni jednostki przed zjawiskiem zautomatyzowanego podejmowania decyzji, w którym urzędnik bezkrytycznie akceptuje sugestie komputera bez dogłębnej analizy indywidualnego stanu faktycznego danej sprawy. Wdrożone oprogramowanie ma pełnić wyłącznie funkcję nowoczesnego narzędzia wspierającego codzienną pracę analityczną urzędnika.
Rejestrowanie zdarzeń operacyjnych i bieżące monitorowanie technologii
Prawidłowe sprawowanie nadzoru ludzkiego wymaga od instytucji publicznej wdrożenia odpowiednich rozwiązań technicznych w zakresie monitorowania codziennego działania wykorzystywanych algorytmów. Podmioty stosujące zautomatyzowane oprogramowanie są zobowiązane do realizowania procesów kontrolnych w celu zapewnienia poszanowania praw jednostki. Do głównych zadań operacyjnych urzędu w trakcie korzystania z systemu należą następujące czynności:
- Archiwizowanie logów zdarzeń, które dokumentują każdą operację wykonaną przez dany system.
- Niezwłoczne zawieszenie funkcjonowania algorytmu w sytuacji, gdy urzędnicy zauważą, że generuje on błędy logiczne lub rażąco narusza zatwierdzone procedury.
- Raportowanie wszelkich incydentów i nieprawidłowości bezpośrednio do dostawcy technologii oraz wyznaczonych w danym państwie organów nadzoru rynkowego.
Zgromadzone w ten sposób dane elektroniczne pozwalają na późniejsze odtworzenie procesu decyzyjnego, co jest elementem niezbędnym w przypadku formalnych odwołań składanych przez interesantów. Bieżące monitorowanie pracy infrastruktury informatycznej nie jest zatem czynnością jednorazową, lecz procesem weryfikacji, który trwa przez cały okres użytkowania oprogramowania.
Przejrzystość działań urzędu i obowiązki informacyjne wobec obywateli
Prawodawca europejski kładzie nacisk na transparentność procesów administracyjnych, w których powszechnie wykorzystywana jest sztuczna inteligencja. Zgodnie z wytycznymi zawartymi w artykule 50 rozporządzenia, osoby fizyczne mają prawo wiedzieć, że wchodzą w interakcję z oprogramowaniem zautomatyzowanym lub że ich indywidualna sprawa jest rozpatrywana z jego wymierną pomocą. Urzędy państwowe są zobligowane do publikowania jasnych i łatwo dostępnych komunikatów informujących o stosowaniu tego rodzaju narzędzi. Co więcej, na mocy artykułu 49 Aktu o AI podmioty sektora publicznego muszą formalnie zarejestrować fakt używania algorytmu wysokiego ryzyka w ogólnounijnej bazie danych. Publiczna ewidencja jest jawna i pozwala na kontrolowanie tego, jakie instytucje korzystają ze sztucznej inteligencji do realizacji powierzonych zadań, co znacząco podnosi ogólny poziom społecznego zaufania do postępującej cyfryzacji administracji. Powszechna przejrzystość informacyjna stanowi gwarancję, że osoby fizyczne mogą skutecznie bronić swoich praw oraz domagać się rzeczowych wyjaśnień dotyczących logiki działania zastosowanego wobec nich programu.
Podsumowanie
Wdrożenie europejskich regulacji nakłada na administrację państwową i samorządową szereg istotnych obowiązków związanych z ochroną praw jednostki. Podmioty publiczne stosujące systemy AI wysokiego ryzyka muszą przede wszystkim ocenić ich wpływ na prawa podstawowe jeszcze przed rozpoczęciem korzystania z takich rozwiązań. Konieczne jest także zapewnienie realnego nadzoru człowieka, prowadzenie odpowiedniej dokumentacji, zgłaszanie incydentów oraz zachowanie przejrzystości działania. Przestrzeganie tych zasad ma służyć nie tylko zgodności z prawem, ale również budowaniu nowoczesnej administracji, która korzysta z technologii w sposób odpowiedzialny i budzący zaufanie obywateli.
